એક OpenVPN હબ, ત્રણ LAN: સરનામાં યોજના અને iroute ફાઇલો

ત્રણ ખાનગી LAN એક હબ પર મળી શકે છે અને કોઈ પણ સાઇટ બીજાનું આંતરિક જાણતી નથી, અને આખી રચના ચાર ટૂંકા રૂપરેખાંકન નિર્ણયો પર ઊભી છે. તેને કામ કરતું બનાવે છે અલગ પ્રોટોકોલ સુવિધા નહીં, પણ એવી સરનામાં યોજના જે કોઈએ અનુમાન કરવાની જરૂર નથી, સાથે દરેક ક્લાયન્ટ માટેના રૂટ જે હબને કહે છે કઈ શાખા કઈ પ્રીફિક્સ ધરાવે છે. આમાંથી કંઈ પણ ખોટું કરો તો ટનલ તો ઊપડે જ છે, અને એ જ નિષ્ફળતાને ગૂંચવણભરી બનાવે છે.

પગલાં ક્રમમાં પૂરાં કરો. દરેક પગલું પાછલા પગલાની યોજના પર આધાર રાખે છે, અને એક પણ નવી પ્રમાણપત્ર સત્તાધિકારી માંગતું નથી.

એવી યોજનાથી શરૂ કરો જે કોઈએ અનુમાન કરવાની જરૂર ન હોય

રૂપરેખાંકન ફાઇલને સ્પર્શ કરતા પહેલાં ચાર અલગ પ્રીફિક્સ લખો: હબનું પોતાનું LAN, દરેક શાખાનું LAN, અને ફરતા ક્લાયન્ટને આપવામાં આવતો પૂલ. અલગતા એ જ બાકીનું બધું સરળ રાખે છે, કારણ કે એકબીજામાં ભરાયેલા રેન્જ રૂટિંગને સૌથી લાંબી મેળની પહેલી બનાવે છે જે કોઈ રૂપરેખાંકન દરેક ક્લાયન્ટ માટે સુધારી શકતું નથી. પછી ખાતરી કરો કે કઈ મશીન દરેક LAN માટે ડિફૉલ્ટ ગેટવે છે, કારણ કે જે શાખા રાઉટર પોતાના LANનું ગેટવે નથી તેને દૂરના રૂટ બીજે જ જગ્યાએ સ્થાપિત કરવા પડે છે. અંતે, દરેક શાખાને ઓળખતા પ્રમાણિત નામો નક્કી કરો, કારણ કે એ નામો જ એવી ચાવીઓ છે જેનાથી દરેક ક્લાયન્ટની ફાઇલો શોધાય છે.

એક ઉદાહરણ યોજના પૂલને ત્રણ LANથી ઘણો દૂર રાખે છે. તમારી અલગ હશે, અને એકમાત્ર કડક નિયમ એ છે કે કોઈ બે રેન્જ એકબીજામાં ન ભરાય.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

હબના કર્નલને કહો કે શાખાઓ ક્યાં છે

હબને દરેક શાખા માટે બે માહિતીની જરૂર છે: કર્નલ રૂટ જે પ્રીફિક્સને ટનલ ઉપકરણમાં મોકલે છે, અને એક iroute એન્ટ્રી જે OpenVPN પ્રક્રિયાને કહે છે કે કયો ક્લાયન્ટ તેનો માલિક છે. ફક્ત કર્નલ રૂટ પેકેટને ટનલ સુધી પહોંચાડે છે અને ત્યાં જ અટકે છે, કારણ કે ડીમનને હજી નક્કી કરવાનું છે કે કયો સાથી તેમને મેળવશે. ફક્ત iroute એન્ટ્રી એ પેકેટને કર્નલમાં અનુસરવા માટે રૂટ વગર છોડી દે છે. બંને લીટીઓ એ રૂપરેખાંકનનો ભાગ છે જે ડીમન ખરેખર લોડ કરે છે, અને બીજું કંઈ ડિબગ કરતા પહેલાં તે ચકાસવા જેવું છે.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

જ્યારે કર્નલ અમલબંધન બિંદુ હોવું જોઈએ ત્યારે ક્લાયન્ટ-થી-ક્લાયન્ટ બંધ રાખો. એ વિકલ્પ ડીમનની અંદર સાથીઓ વચ્ચેનો ટ્રાફિક રિલે કરે છે, જે અનુકૂળ છે અને એનો અર્થ પણ એ છે કે તમારા ફોરવર્ડિંગ નિયમો ક્યારેય આ પ્રવાહ જોતા નથી. નીચેનું બધું ધારે છે કે કર્નલ દરેક શાખા-થી-શાખા પેકેટ જુએ છે.

દરેક શાખાને જરૂરી રૂટ આપો

દરેક શાખાને બીજી શાખાઓ અને હબના LAN માટે રૂટની જરૂર છે, અને પોતાના જોડાયેલા LAN માટે કોઈ રૂટની જરૂર નથી. દરેક રાઉટરમાં ચોંટાડવાને બદલે દૂરના પ્રીફિક્સ હબથી ધકેલો, જેથી પછીથી ચોથી સાઇટનો અર્થ ચાર ફેરફારને બદલે એક નવી દરેક-ક્લાયન્ટ ફાઇલ થાય. દરેક-ક્લાયન્ટ ફાઇલ iroute લીટી પણ ધરાવે છે, જે માલિકી અને જાહેરાતને એક જ જગ્યાએ રાખે છે. ડિરેક્ટરી અને તેની ફાઇલોને સર્વરના વિશેષાધિકાર મોડેલ હેઠળ વાંચી શકાય તેવી બનાવો, નહીં તો શોધ સંદેશ વગર નિષ્ફળ જાય છે.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

ચોથી સાઇટ એ જ પેટર્ન અનુસરે છે: એક અલગ પ્રમાણિત નામ, એક માલિકીનું પ્રીફિક્સ, હબમાં એક કર્નલ રૂટ, એક iroute એન્ટ્રી, અને ફક્ત એ સાઇટો માટે જાહેરાત જેમને ત્યાં પહોંચવાની પરવાનગી છે.

પૂરું કહેતા પહેલાં બંને દિશામાં પરીક્ષણ કરો

ત્રણેય રાઉટર પર IPv4 ફોરવર્ડિંગ ચાલુ કરો, પછી ખાતરી કરો કે ફાયરવૉલ બંને દિશામાં ઇચ્છિત પ્રવાહોને મંજૂરી આપે છે, કારણ કે એકદિશ પરીક્ષણ તૂટેલા પરત માર્ગ સાથે કોઈ પણ અપેક્ષા કરતાં વધુ વાર પાસ થાય છે. સાઇટો વચ્ચે સ્રોત અનુવાદની જરૂર નથી, અને મૂળ સ્રોત જાળવવો એ જ દરેક શાખાને વિનંતી પર પોતાની નીતિ લાગુ કરવા દે છે.

એક શાખાના LAN પરના હોસ્ટથી બીજી શાખાની સેવા સુધી પરીક્ષણ કરો, પછી દિશા ઉલટાવો, પછી શાખાથી હબના LAN સુધી પરીક્ષણ કરો. એ ત્રણ પરિણામો અલગ પુરાવા છે, અને એક પણ બીજાને સૂચવતું નથી. જો શાખા રાઉટર તેના LANનું ડિફૉલ્ટ ગેટવે ન હોય, તો દૂરના પ્રીફિક્સ ખરા ગેટવે પર સ્થાપિત કરો અને પૂલ પણ સામેલ કરો જ્યારે ટનલ ક્લાયન્ટને એ LANમાં જોડાણો શરૂ કરવાના હોય.

યોજના, દરેક-ક્લાયન્ટ ફાઇલો અને ફાયરવૉલ નિયમોને એક દસ્તાવેજ તરીકે નોંધો, કારણ કે આગલી સાઇટ ઉમેરણ તેમની સામે માપવામાં આવશે.

રચના એકસાથે ટકે છે કારણ કે દરેક સ્તરનું એક કામ છે: યોજના પ્રીફિક્સ અનન્ય રાખે છે, કર્નલ રૂટ પેકેટ ખસેડે છે, iroute માલિકનું નામ કહે છે, અને ફાયરવૉલ નક્કી કરે છે શું મંજૂર છે. જ્યારે કંઈ તૂટે છે, ત્યારે એ યાદી જ ચકાસવાનો ક્રમ પણ છે.